联想医疗桌面云平台解决方案@20180727

XXX医院联想云桌面解决方案■文档编号VE-S-T-2016052305■密级商业机密■版本编号V1.0■日期2016-05-23©DATE\@"yyyy"2018

■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属联想公司所有，受到有关产权及版权法保护。任何个人、机构未经联想公司的书面授权许可，不得以任何方式复制或引用本文的任何片断。■版本变更记录时间版本说明修改人2016-05-23V1.0创建解决方案中心第页目录一、项目背景 51.1概述 51.2方案背景 51.3医院需求分析 6二、方案原则、依据及目标 72.1. 方案原则 72.2. 方案依据 82.3. 方案目标 9三、XX医院解决方案 93.1. IDV云桌面结构及部署 103.1.1. “联想”IDV云桌面架构 103.1.2. 系统功能 113.1.3. 部署方式 113.2. IDV云桌面在医院的应用分析 123.2.1. 内网数据的根本防护 123.2.2. 操作系统安全 133.2.3. 集中、统一化运维 133.2.4. 良好的应用体验 133.2.5. 部署简单 143.2.6. 合理的投资回报 143.3. IDV云桌面在医院部署后的预期效果 143.3.1. 内网数据安全得到根本保护 143.3.2. 系统及应用安全得到根本保护 153.3.3. 简捷的运维管理 153.3.4. 良好的应用体验 153.3.5. 轻松部署 153.4. 私有云存储在医院的应用 153.4.1. 功能需求分析 153.4.2. 总体设计目标 163.4.3. 私有云存储价值 16四、建议配置 17五、专业快速的技术服务 19

一、项目背景1.1概述XX医院是淄博市高新区与北京世博金都医药科技发展有限公司联合新建的一家集医疗、科研、教学、康复等多功能为一体的五星级的三级甲等标准建设的现代化综合医院。医院总建筑面积约15万平方米，医院综合楼建筑面积约10万平方米，采用国际先进的“一厅一场”设计理念，其中门诊大厅1000平米、医疗广场1200平米、空中走廊8.4米宽。医院一期开展定编床位600张，总计划开展1600张床位，预计2016年7月1日进入试运营阶段。1.2方案背景我国医疗卫生行业主要包括医院、卫生院、社区卫生服务中心(站)、门诊部、疗养院、妇幼保健院、专科疾病防治机构、疾病预防控制中心、医学科研机构、各级医疗卫生行政管理机构等医疗卫生机构。根据卫生部公布的统计数据，2008年上述国内卫生机构数量为278,337家。而医院信息化发展普遍经历三个阶段：医院管理信息化(HIS)阶段、临床管理信息化(CIS)阶段和局域医疗卫生服务(GMIS)阶段。除上述三个信息化阶段之外，医院和公共卫生管理中的基本管理信息系统(MIS)随着医疗改革的深入也逐渐建立起来。医院管理信息系统(HIS)是以收费为中心，将门急诊的挂号、划价、收费、配药和住院病人的医嘱、配药、记账，以及医院的人、财、物等工作，用计算机网络进行管理，并将从各信息点采集的信息供管理人员查询、管理和决策。目前，中国的大型医院基本建立了成熟的HIS系统，其应用不断扩展，无线技术和手持设备等也逐渐应用到HIS系统中。中小型医院开始部署HIS系统，社区医疗服务中心和乡镇卫生院也开始建立HIS系统。目前三级医院几乎都开展了信息化建设，二级及以下级别的医院中80%以上已经开展了信息化建设，大多数以HIS系统为主。HIS系统的应用基本成熟并逐步扩展应用，医生工作站和护士工作站不断普及，导医系统更加完善；无线应用技术快速发展，手持终端应用逐渐扩展。CIS系统正在逐步深入，PACS、RIS等系统应用逐渐成熟，EMR(电子病历)正在被越来越多的医院试用和采用，手术麻醉、重症监护等系统应用得到推广。自2003年启动新型农村合作医疗试点工作以来，信息化建设在实施中显的尤为重要，而且云计算虚拟化平台在实际应用中扮演着越来越重要的角色。1.3医院需求分析随着医院的基础架构、业务系统及运维，按照传统的IT架构，所有的用户PC均由信息技术部的人员来管理和维护，繁杂的维护工作可能成为IT维护人员的心中之痛，随着越来越多新的业务系统的快速上线，管控难度加大，尤其业务系统的权限管理和身份认证管理难度越来越大，且安全隐患也将越来越多，这些新的挑战对于医院的IT人员来说无疑是雪上加霜。综合分析，医院面临如下问题。A.维护量大医院将来使用的PC机比较多，并且比较分散，所以维护量比较大。由于终端用户的基础水平有限，一旦PC机出现很小的故障都需要系统管理员去维护。由于PC机分布比较分散，所以维护量更加加大。B.应用灵活性低传统的PC或笔记本应用模式是一种以设备为中心的计算模式，所有组件（应用，OS,数据,用户配置文件）都和特定的设备紧密相关，应用与设备绑定、紧密程序高。随着第五医院业务系统与商务活动结合紧密程度的不断提高，在当今瞬息万变的商务活动中，常需新增新的应用、升级现有应用等，针对这些需求，传统PC应用已经逐渐显漏出灵活性不足所带来的问题。C.桌面交付周期长、交付效率低在当前信息时代，离开IT系统，员工就无法工作，面对新员工的桌面应用需求，IT人员常因设备未到位而不能及时将用户桌面交付给用户，使用户不能及时投入到工作中；而面对员工原有桌面设备的损坏，IT人员如不能在短时间内为用户修复并交付应用，这都将影响用户的工作效率。D.资源使用率低，耗电量比较高由于硬件的不断发展，硬件的资源越来越高，但是终端用户只运行相关的业务系统所以终端的资源使用率低，造成了资源的浪费。同时PC设计的使用的电量比较高，不满足节能减排的要求。二、方案原则、依据及目标方案原则为保证方案的能够最终达到医院规定的相关安全要求,在设计方案时遵循如下的设计原则:方案先进原则：医院内网中部署的IDV云桌面要求功能完善、技术先进、安全可靠、服务领先；系统安全原则：管理系统自身安全包括物理安全、系统安全、数据安全和运行安全等；可扩展原则：统一规划，兼顾长远，既要满足现有的需求，又要兼顾系统的可扩展性，保证分布实施的延续性。系统在结构、规模、应用能力等各个方面都必须具备很强的扩展能力；按照GB17859-1999《计算机信息系统安全保护等级划分准则》的要求建设；可靠性原则。执行ISO9001质量认证体系要求，确保安全保密设备的高可靠性和稳定性；经济性原则。IDV云桌面的建设、运行维护以及将来的扩展建设，必须符合经济性原则；易操作原则。IDV云桌面的使用、维护、管理、发行等方面要易操作；高效原则。IDV云桌面的处理能力要求能满足现阶段的实际需求，保证系统的高效运行，并能根据系统的发展进行不断提升；功能完整原则。IDV云桌面的功能完整，应用安全扩展系统功能完整；灵活性原则。IDV云桌面的系统扩展、应用安全建设方面都必须满足灵活性要求。方案依据本设计方案的主要依据是国家保密局文件“涉及国家秘密的计算机信息系统安全保密方案设计指南”（BMZ2-2001），同时，还参考了以下标准和法规、文件：国家标准GB2887-2000《电子计算机场地通用规范》；国家标准GB9254-1998《信息技术设备的无线电骚扰限值和测量方法》；国家标准GB9361-1998《计算站场地安全要求》；国家标准GB17859-1999《计算机信息系统安全保护等级划分准则》；国家标准GB50174-1993《电子计算机机房设计规范》；国家公共安全和保密标准GGBB1-1999《信息设备电磁泄漏发射限值》；国家保密标准BMB2-1998《使用现场的信息设备电磁泄漏发射检查测试方法和安全判据》；国家保密标准BMB3-1999《处理涉密信息的电磁屏蔽室的技术要求和测试方法》国家保密标准BMB4-2000《电磁干扰器技术要求和测试方法》；国家保密标准BMB5-2000《涉密信息设备使用现场的电磁泄漏发射防护要求》；CISPR22信息技术设备—无线电干扰特征—极限值和测量方法；CISPR24信息技术设备—免疫性特征—极限值和测量方法；国务院令147号《中华人民共和国计算机信息系统安全保护条例》；国务院令195号《中华人民共和国计算机信息网络国际联网管理暂行规定》；中华人民共和国公安部令32号《计算机信息系统安全专用产品检测和销售许可证管理办法》；国家保密局文件《计算机信息系统保密管理暂行规定》（国保发[1998]1号）；方案目标世博高新医院信息化办公环境要求最大可能的保护其内部网络、系统资源与数据可以得到充分的信任和保护，获得良好的管理。本项目的总体目标是在不影响医院信息化办公环境网络正常工作的前提下，从虚拟安全、桌面管理、行为控制等多个角度构建一套完整的终端系统管理体系，实现对网络的全面安全加固，最终达到医院的相关保密要求。主要达到以下目标：保护内部网络的数据安全性保护网络及系统服务的连续性防范入侵者及病毒的恶意攻击与破坏实现网络的简捷、安全与灵活管理保持良好的应用体验深入的成本控制三、世博高新医院解决方案“联想”IDV云桌面是联想公司基于云计算环境下全国首个推出的全新桌面云系统，整合最新的虚拟安全技术，以终端系统管理为中心出发点，从虚拟防护、桌面管理、行为控制等多个角度构建一套完整的终端桌面系统管理体系，防御各种终端异常事件，通过技术手段全面贯彻落实各单位的终端桌面管理策略。IDV云桌面结构及部署针对医院对终端管理及安全提出的功能和性能要求，联想公司为了有效地满足医院内网环境下的管理需求，故提出以“联想”虚拟终端产品作为基础建设安全管理系统的构想，从系统、网络及应用安全三个方面为医院网络提供管理解决方案。“联想”IDV云桌面架构“联想”IDV云桌面分为客户端和策略管理中心两个部分，其中策略管理中心为服务器端；通过建立用户定制的操作系统镜像模版和虚拟机模版，提供虚拟防护、桌面管理及行为控制等的策略管理，为客户端提供多方面的系统及策略服务。IDV云桌面既可以通过PXE网络启动的方式通过网络使用前端计算资源，也可以通过远程显示协议通过网络使用后端服务器计算资源，实现混合计算。系统功能虚拟防护：虚拟镜像管理虚拟机管理病毒库同步防ARP欺骗个性化安全磁盘桌面管理资产管理补丁管理软件群发远程支持行为控制外设控制应用软件控制上网监控行为监控部署方式“联想”IDV云桌面安装部署非常简单方便，只需要在服务器上安装好服务器端程序，建立用户定制的操作系统镜像文件，然后将所有客户机的开机启动顺序改为从网络启动即可管理，不需要逐一安装客户端代理软件。如下图：IDV云桌面在医院的应用分析本章将针对IDV云桌面的虚拟防护、桌面管理、行为控制等模块针对医院的需求进行具体的功能分析。内网数据的根本防护“联想”IDV云桌面能够控制工作主机在启动时从服务器端的虚拟磁盘进行引导，由系统服务器上直接读取操作系统及应用镜像文件，终端数据可集中、加密存储于服务端也可存储于终端本地硬盘；如数据存储于本地硬盘，“联想”IDV云桌面将对本地硬盘做加密处理；如本地硬盘或终端离开用户本身的内网环境硬盘将无法读写。“联想”云桌面管理平台中，内部网的计算机如果拔下内网网线，插入外网网线，内网电脑将因无法与服务端通讯而导致系统无法使用且本地硬盘无法读写，从而杜绝了用户私自拔插内外网网线的情况。“联想”IDV云桌面也可利用自身安全策略限制终端连入Internet,禁止终端的外设应用；包括移动存储设备、光驱、软驱、打印机等，全方位保障内部网络数据安全。考虑到在工作中，内部数据在允许的情况下需要进行交互，“联想”IDV云桌面为每个终端提供“个性化加密磁盘”，用户可通过用户名及密码访问各自的加密磁盘空间并进行内部数据共享，解决了禁用U盘后的数据交换问题。操作系统安全“联想”IDV云桌面可实现客户端重启恢复的功能；该功能可根据虚拟磁盘分区进行设置，客户端每次重新启动后都会得到纯净、安全的系统和应用，可从根本保护终端的操作系统及应用。无论因误操作或是病毒等影响出现系统及应用故障，只需要重新启动电脑即可得到解决。通过数据缓存和高强度通信压缩功能，“联想”IDV云桌面大大降低终端应用对网络及服务器的压力，确保在千兆环境下操作系统和应用软件的运行速度不亚于本地计算机，并实现了断网后再次接入时终端计算机能正常恢复运行，内存数据不丢失。另外，“联想”支持多服务器负载均衡和冗余热备；网络中的多台服务器可实现负载均衡以保障终端顺畅运行，在某台服务器出现故障时其他服务器会即时接管以保障终端用户不受影响。以上这些可充分保障终端用户的业务连续性。集中、统一化运维“联想”IDV云桌面能够控制工作主机在启动时从虚拟磁盘进行引导，由系统服务器上直接读取操作系统镜像文件，这使得网络中终端的软件安装、补丁升级、病毒库升级等工作可实现集中完成且成功率100%，整个网络的运维工作大大简化。“联想”IDV云桌面可良好的支持多种硬件、操作系统及应用程序共存，充分发挥终端硬件资源，可根据医院办公网的具体环境进行灵活部署。良好的应用体验“联想”IDV云桌面可轻松支持各种大型设计软件如AutoCAD、3Dmax，更可轻松兼容医院HIS、PACS系统，同时不改变终端用户原有的使用习惯；用户环境及数据可进行平滑迁移，终端计算机的系统用户名和密码、桌面壁纸、IE收藏夹、我的文档、桌面上的各种文件等个性化数据均能自动保留，无需手工设置，真正实现个性化管理。在联想NGD应用环境中，能够良好的兼容各种软硬件，流畅运行蓝光高清、视频会议、高清图像等多媒体应用，从开机到应用到关机，用户终端环境和普通PC计算机环境毫无差异，使用者甚至感觉不到已经部署了IDV云桌面。部署简单“联想”IDV云桌面的部署无需更改医院现有网络环境，单一硬件配置环境下只需一台终端安装联想客户端软件及上传系统镜像后，其他终端开启网络启动即可。部署轻松简捷。合理的投资回报“联想”IDV云桌面部署后因利用虚拟化集中、统一管理模式，所以可大大减少网络运维人员的数量，减少了人力成本。由于终端计算机的稳定可靠，大大减少了因终端故障而引起的业务损失，“联想”IDV云桌面只需要采用单台服务器即可支持300台以上的终端计算机，所以在硬件投入上可比其他桌面虚拟化系统大大节省。另外，集中的运行模式也可极大的减少用户软件授权费用。IDV云桌面在医院部署后的预期效果内网数据安全得到根本保护内网终端无法利用外网网线连接Internet,也无法通过3G等其他途径上网。内网终端在未经允许的情况下无法利用移动存储设备、光驱、软驱或打印等方式拷贝、泄露内网数据，即使拆卸带走硬盘也不会导致数据泄露。内网数据信息得到根本的保护。系统及应用安全得到根本保护系统及应用可实现重启恢复，无论因误操作还是病毒木马造成的系统及应用问题都会在重启后瞬间得到恢复。所有的终端计算机的安全补丁和系统补丁都能够及时得到更新，系统管理可以快速实现所有终端操作系统的安全加固工作。可以预期的是，医院所有的终端计算机从此告别了系统重装，实现了100%的操作系统可用性。简捷的运维管理系统管理员无需再为终端重新安装操作系统及繁多的应用，新机器加入1分钟即可交付应用环境。软件安装、补丁升级全网一次完成且成功率100%。良好的应用体验大型软件及高清视频可流畅运行，日常应用完全和普通PC相同，用户可完全保持原有的使用习惯。同时，在安全性可用性上会有大幅度提高；电脑长时间使用不会变慢，不会因系统及应用问题导致业务及应用中断，“个人加密磁盘”使个人文件存取更加方便。使用者满意度的提升有利于整套信息管理系统的长期稳定运行。轻松部署“联想”IDV云桌面可在3-5小时内部署100台终端，且可保留用户原有桌面数据及应用习惯，用户可在不经意间开始应用虚拟化平台并接受终端管理系统的管理。私有云存储在医院的应用（选配）功能需求分析通过本项目中云桌面建的理解，对于云存储主要需要满足以下几个功能需求：支持断网文件本地缓存，网络恢复后自动同步功能为了方便维护，VOI办公云桌面设置成重启还原模式，用户桌面安全等级提高，永远不怕中毒或系统损坏；通过私有云存储系统为用户分配网络存储空间，断网后用户数据可在本地缓存，数据继续可用，网络恢复后自动同步到云存储中心。海量的存储资源池支撑数据资源与个人资料能够将海量的数据资源与相关数据，安全稳定的存储在一个可动态增加容量和性能的存储池中，达到接近按需供给存储容量与性能的效果，满足医院工作中一些动态的变化需求，提升办公效果。简易方便的数据分享方式突破原有移动存储、网络传输、移动设备等固有的数据迁移问题，实现一键共享数据方式，只需选择共享数据与共享用户即可避免数据传输，直接将数据共享给其他用户，将办公资源分享简易化。总体设计目标根据以上需求，我们将采用私有云存储模块来架构私有云存储平台，此系统可以在满足用户海量数据存储和简易数据分享的同时，架构一个具有高性能、高扩展性、易管理等特性的存储平台。且本方案中的云存储系统的后台是以国内先进的集群存储为依托搭建的存储平台，可有效的支撑医院业务办公过程中产生的全部文件，完全实现办公信息化数据统一存储与管理。私有云存储价值个人专属空间私有云存储系统可以为每个用户按照一定的权限创建账号，一旦用户登录就能够访问个人的专属空间和其他用户共享给自己的文件，且空间的容量可以根据用户需求动态进行划分，也可以在容量不足时快速的增加容量，确保办公的连续性。一键分享私有云存储系统能够支持不同用户之间快速的分享数据文件。例如在平时办公之间都会有不少的文件需要分享，通过云存储系统每个人都可以将需要的内容一键分享给对方，无需传输和拷贝的过程，确保数据的安全性和分享的便捷性，且本系统中的分享数据是通过共享的方式分享的，这样可以有效的保证系统中只有一份数据的存在，不会出现因为数据存放在多处而造成的空间浪费。回收站功能私有云存储系统系统内置数据删除恢复功能，此功能可保证用户在误删除数据后在一定时间找回删除数据，避免了误删除数据造成损失，数据可恢复时间可通过系统管理员自由设置。永远在线的云端私有云存储系统能够支持非常好的故障容忍度，即使提供服务的单个私有云服务器硬件整体损坏也不会影响用户访问，保证云端系统永远在线，确保办公的顺利进行。系统内设有其它业务的连接端口，可有效的支撑起医院其它的业务。四、建议配置根据医院的建设规划，本次桌面云规划终端数量为300台，全部以IDV架构部署，其中涉及医生办公、前台柜面电脑、行政办公等。我们建议采用全千兆网络部署。本次具体配置如下：序号名称品牌型号配置数量(台)1管理中心服务器1.1*E5-26202.4*RECCDDR44GB3.RAID+1GB+电池(raid0、1、10、5、50、6)4.2*240GB/SSD/2.5英寸/SATA/6Gb/s5.2*2TB/SATA/3.5英寸/SATA/6Gb/s6.千兆自适应*27.热插拔冗余电源（1+1）8.三年原厂服务12计算机3003授权图云VOI授权图云桌面终端授权：按每终端授权，含三年标准原厂